Bloquer les systèmes de fichiers réseau

Risque élevé Non coché par défaut Catalogue révisé le: 2026-11-05

Si vous ne montez jamais de partages NFS ou de serveurs de fichiers Windows, le noyau n'a pas besoin de porter ce code.

Pourquoi il compte

Monter un partage réseau fait dialoguer le noyau avec un serveur distant via du code qui analyse les données envoyées par ce serveur. Un serveur malveillant ou compromis peut tenter d’exploiter des bugs dans ce code. Si vous n’utilisez jamais ces partages, vous n’avez pas besoin de ce code en mémoire.

Comment il fonctionne

Ajoute une configuration modprobe qui bloque les modules du groupe network-filesystems, qui couvre les clients NFS et SMB/CIFS. Les tentatives de montage de tels partages échouent parce que le pilote ne peut pas se charger.

À qui il s'adresse

Seulement si vous ne montez jamais de partages NFS ou SMB, ce qui est le cas de beaucoup de portables. Laissez désactivé si vous utilisez un NAS, un serveur de fichiers d’entreprise ou un répertoire personnel en NFS.

Ce que vous pouvez remarquer

Monter un partage échoue avec une erreur du type unknown filesystem type nfs ou cifs. Si un partage monté manque après le démarrage, c’est une cause probable.

Le vérifier sur votre ordinateur

Voir si les modules sont chargés :

lsmod | grep -E '^(cifs|nfs|nfsv3|nfsv4|ksmbd|gfs2) '

L'appliquer à la main

Dire au système de ne pas les charger, dans un fichier qui vous appartient :

sudo tee /etc/modprobe.d/90-modules-network-filesystems.conf <<'EOF'
install cifs /bin/true
install nfs /bin/true
install nfsv3 /bin/true
install nfsv4 /bin/true
install ksmbd /bin/true
install gfs2 /bin/true
EOF

L'annuler

Supprimez le fichier. Les modules déjà chargés restent jusqu'au prochain redémarrage.

Réglages liés

Bloquer les systèmes de fichiers rarement utilisés

Sources

Linux Hardening Guide (madaidans): 2.5.2